Mitsubishi Electric GX Works3 و Motion Control Settings — آسیب‌پذیری CVE-2026-15688

منبع: این نوشته بر اساس اطلاعیهٔ Mitsubishi Electric (مربوط به شمارهٔ داخلی 2026-007) و بازنشر CISA تهیه شده است.

خلاصهٔ فنی
- شناسهٔ آسیب‌پذیری: CVE-2026-15688
- شرح: آسیب‌پذیری Incorrect Implementation of Authentication Algorithm (CWE-303) در محصولات زیر اجازه می‌دهد یک مهاجم محلی حتی با وارد کردن «رمز بلاک نامعتبر» با اجرای محصول آسیب‌پذیر، به‌طور موفقیت‌آمیز احراز هویت انجام دهد و بخشی از ماژول اجرایی را در حافظه تغییر دهد. این دسترسی می‌تواند منجر به مشاهده، دستکاری، تخریب یا حذف برنامه‌های کنترلی شود.
- محصولات آسیب‌پذیر (عیناً مطابق منبع):
- Mitsubishi Electric GX Works3 vers:all/* (CVE-2026-15688)
- Mitsubishi Electric Motion Control Settings (Software packaged with GX Works3) vers:all/* (CVE-2026-15688)

امتیازهای رسمی
- CVSS v3.1: 8.8 (HIGH) — CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H
- CVSS v4.0: 9.2 (CRITICAL) — CVSS:4.0/AV:L/AC:L/AT:N/PR:L/UI:N/VC:H/VI:H/VA:N/SC:N/SI:H/SA:H
(اعداد و بردارها از اطلاعیهٔ رسمی گرفته شده‌اند.)

توصیه‌ها و رفع‌های ارائه‌شده توسط فروشنده (خلاصه)
- برای GX Works3: دریافت و نصب نسخهٔ 1.096A یا جدیدتر و تنظیم security version پروژه‌ها روی "2". برای جزئیات به بخش «15.9 Preventing Illegal Access to/Falsification of Data (Security Version)» در راهنمای عملیاتی GX Works3 مراجعه کنید.
- برای Motion Control Settings (بسته‌شده با GX Works3): دریافت و نصب نسخهٔ 1.070Y یا جدیدتر و تنظیم security version پروژه‌ها روی "2". برای جزئیات به بخش «12.5 Preventing Illegal Access to/Falsification of Data (Security Version)» در راهنمای Motion Control Setting Function Help مراجعه کنید.
- مرجع کامل و فایل‌های توضیحی در اطلاعیهٔ امنیتی Mitsubishi Electric (PDF) موجود است (شمارهٔ اطلاعیهٔ فروشنده در منبع).

تدابیر کاهش خطر (از اطلاعیهٔ فروشنده و بازنشر CISA)
- استفاده از رایانه‌های دارای نرم‌افزار آسیب‌پذیر تنها در شبکهٔ محلی (LAN) و جلوگیری از ورود از راه دور از شبکه‌ها/میزبان‌های غیرقابل اعتماد.
- قرار دادن دستگاه‌ها و شبکه‌های کنترلی پشت فایروال و جداسازی از شبکهٔ تجاری؛ در صورت نیاز به دسترسی از راه دور از VPNهای به‌روز و تنها برای کاربران مورد اعتماد استفاده کنید.
- محدود کردن دسترسی فیزیکی به رایانه‌ها و تجهیزات شبکه‌ای مرتبط، نصب نرم‌افزار ضدویروس و آگاهی‌بخشی به کاربران برای خودداری از کلیک روی لینک‌ها یا باز کردن پیوست‌های ناشناس.

خلاصهٔ تحلیلی (مستقل)
- سطح تهدید: با توجه به امتیازهای CVSS و امکانِ تغییر اجرایی در حافظه، این آسیب‌پذیری می‌تواند دسترسی کامل به برنامه‌های کنترلی را فراهم کند؛ لذا پیامدهای بالقوه برای سیستم‌های کنترل صنعتی شدید است.
- بردار حمله: مهاجم باید دسترسی محلی به دستگاه یا رایانهٔ حاوی نرم‌افزار داشته باشد (AV:L) و دسترسی سطح پایین (PR:L) کافی است؛ بنابراین حفاظت از شبکه‌های مهندسی/کارگاهی و کنترل دسترسی فیزیکی اولویت دارد.
- اقدام فوری پیشنهادی: در صورت داشتن این محصولات، فوراً به نسخه‌های اعلام‌شده توسط Mitsubishi Electric ارتقا دهید و security version پروژه‌ها را به "2" تنظیم کنید. تا زمان اعمال به‌روزرسانی، دسترسی‌های غیرقابل اعتماد را مسدود و شبکه‌های مهندسی را ایزوله کنید.

تذکر: اطلاعات فوق بر پایهٔ اطلاعیهٔ Mitsubishi Electric (بازنشر CISA) می‌باشد؛ برای جزئیات دقیق و فایل‌های رسمی به اطلاعیهٔ فروشنده مراجعه کنید.